Фабрика скама: «интернет-проекты шаблонизированной структуры»

Банк России объединил в одной карточке более 750 доменов, у которых регулятор обнаружил признаки нелегального профессионального участника рынка ценных бумаг. Карточка создана 19 февраля 2026 года и последний раз обновлена 8 сентября.

Название у неё обезличенное — «Интернет-проекты шаблонизированной структуры». Однако ИИ-анализ всего перечня показывает, что речь идёт не о случайной подборке похожих инвестиционных сайтов. Доменные имена образуют десятки серий, построенных из повторяющихся словарей, языковых заготовок и искусственно созданных «финансовых» окончаний.

В массиве обнаружились прямые зеркала в разных доменных зонах, почти идентичные названия, служебные адреса разработчиков и отдельная серия сайтов, эксплуатирующих темы искусственного интеллекта, GPT и известных технологических брендов.

Масштаб сети

На 4 сентября 2026 года в карточке находились 736 уникальных доменов:

• 667 — в зоне .com;
• 21 — .net;
• 15 — .org;
• 13 — .best;
• 8 — .app;
• 5 — .pro;
• 4 — .nl;
• 2 — .click;
• 1 — .cloud.

Таким образом, более 90% массива приходится на .com. Это соответствует международной направленности фабрики: названия конструируются на английском, немецком, испанском, французском, польском, нидерландском, скандинавских и азиатских языках.

ЦБ не публикует историю изменений карточки. Поэтому по открытому перечню нельзя достоверно определить, какие именно домены добавлены 2 сентября. Верхнее положение адреса в списке может быть признаком недавнего добавления, но не является достаточным доказательством.

Конструктор финансовых названий

Большая часть названий собрана из двух элементов. Первый должен создавать географическую, эмоциональную или статусную ассоциацию, второй имитирует финансовый термин.

Наиболее часто встречаются следующие элементы:

• fin — в 61 домене;
• lux — в 56;
• vex — в 45;
• bit — в 38;
• fund — в 37;
• dex — в 36;
• rend — в 30;
• core — в 26;
• mon — в 22;
• trade — в 21;
• gain — в 18;
• vault — в 17;
• invest — в 15;
• kapit — в 14;
• port — в 12.

Получаются названия вроде:

• ledgerholm.com;
• ivorycapstead.com;
• borealzinsmere.com;
• vaultkapitstead.net;
• falconyielode.com;
• nomadvestbrook.com;
• coppervestholm.com;
• quartzvaultmarc.com;
• cedargainstead.com;
• noblechoicerend.com.

Некоторые части действительно напоминают английские финансовые термины: fund, trade, gain, yield, vault. Другие — finviora, fundoriax, luxeron, monvexia, finoble, portdex, corevia — выглядят как синтетические слова, сгенерированные для получения свободного домена.

Это важный признак промышленного производства. Создателям не требуется строить узнаваемый бренд на годы: название должно лишь выглядеть финансовым и достаточно респектабельным в течение короткого жизненного цикла сайта.

Языковые серии

Внутри массива заметны группы, предназначенные для разных стран.

Немецкая группа

Используются узнаваемые элементы Gewinn, Wert, Zins, Kapital, Handel, Vermögen:

• birkegewinnstein.com;
• granitertragburg.com;
• puls-zinsveld.com;
• nobelkapithof.com;
• silberrendifels.com;
• beurs-winsttrek.com;
• vermo-handelrond.com;
• klarheit-invexa.com;
• sterlingsteward.net.

Слова соединяются с вымышленными окончаниями или элементами других языков. В результате получается название, похожее на немецкую финансовую организацию, но не всегда корректное для носителя языка.

Испано-португальская группа

Здесь используются inversión, ganancia, ahorro, fuerte, lucro, caudal, mercado, patrimonio:

• zafiro-rentazgo.com;
• fuerteinversanza.com;
• fuenteinversovia.com;
• puertoahorrivo.com;
• caudal-inversoria.com;
• cetroinvestivo-ia.com;
• ganancia-probytex.com;
• lucro-ai.com;
• mercadocapivento.com;
• ancoracaudalenza.com.

Подобные конструкции позволяют быстро локализовать один и тот же сценарий под Испанию, Португалию и Латинскую Америку.

Французская группа

• fidele-fundex.com;
• eleve-vaultaris.com;
• branche-rendalie.com;
• brise-gainlux.com;
• cedreinvestoire.com;
• neigefondoire.com;
• foudreplakoria.com;
• douvefondenca.com;
• gent-creditavie.com.

Французские слова здесь также смешиваются с искусственными финансовыми окончаниями.

Польская и восточноевропейская группа

• brzaskkapitelis.com;
• pewny-fundaryx.com;
• mudryfondura.com;
• filarzwrotelin.com;
• zdrojwartisko.com;
• jasny-ziskovice.com;
• mocny-fundalis.com;
• zryw-finoble.com;
• pewna-gieldatura.com.

Такая локализация важна не только для домена. Она указывает, какие языковые версии сайтов, рекламные объявления и легенды «инвестиционных экспертов» следует искать.

Скандинавская и нидерландская группы

• bjorkavkastel.com;
• bjorkavkastholm.com;
• cirkelavkastholm.com;
• oulu-voittvex.com;
• kasvu-bitrow.com;
• trygg-bitrow.com;
• seljevermolund.com;
• stjorn-finoria.com;
• aandeel-mappenore.com;
• zuiver-tradelux.com;
• dauwvermobeek.com.

Перед нами не несколько самостоятельных национальных брендов, а, вероятнее всего, общий генератор названий с языковыми словарями.

Азиатские заготовки

• shinryoku-finara.com;
• jeongjeom-finviora.com;
• jeongmil-dexeris.com;
• nakhon-bitnova.com;
• tianheng-finnova.com;
• puji-yingteng.com;
• agragami-sampatti.com;
• garudakapitalya.com;
• fajaruntungsari.com.

Одного названия недостаточно, чтобы определить фактическую географию сайта. Азиатское слово может использоваться европейским или российским оператором как элемент легенды.

Прямые зеркала в разных доменных зонах

В массиве выявлено не менее 14 серий, где полностью совпадает основная часть домена, а меняется только зона:

• swaptaire.net и swaptaire.org;
• vestrode.com и vestrode.org;
• igotea-invest.com и igotea-invest.net;
• ledgerbryn.net и ledgerbryn.app;
• brynvex.com и brynvex.app;
• velmoran.click и velmoran.cloud;
• profitiva-fundres.com и profitiva-fundres.app;
• rapido-fincoura.com и rapido-fincoura.app;
• tempx-revogain.com и tempx-revogain.app;
• prestigio-saldohex.com и prestigio-saldohex.net;
• pulsar-dexlink.com и pulsar-dexlink.pro;
• lucro-ai.com и lucro-ai.org;
• vasto-luxerix.com, vasto-luxerix.org и vasto-luxerix.pro;
• aureo-finoble.com, aureo-finoble.app и aureo-finoble.pro.

Совпадение основы является сильным свидетельством общей серии. Но оно ещё не доказывает, что домены одновременно управлялись одним лицом: альтернативную зону мог зарегистрировать сторонний имитатор. Для окончательного вывода необходимо сравнение содержимого, DNS, сертификатов и платёжной инфраструктуры.

Клоны с минимальными изменениями

Обнаружены названия, различающиеся одной-двумя буквами, дефисом или цифрой:

• monet-inviora.com — monetinviora.com;
• ancora-finzen.com — ancorafinzen.com;
• dividend-luxentia.com — dividendluxentia.com;
• bitnexar-aura.com — bitnexor-aura.com;
• magno-finspirex.com — magnum-finspirex.com;
• testmodblock.best — testmodblock1.best;
• testprod7.best — testprod17.best;
• testprodsource82.best — testprodsource82-2.best;
• pulsar-dexlink.com — pulsar-dexlink.pro;
• fondavex.com — fondavik.com;
• tro-monvexia.com — vero-monvexia.com.

Такие пары могут означать:

1. смену адреса после блокировки;
2. параллельные версии одного продукта;
3. автоматическую генерацию доменов из общей базы морфем;
4. исправление неудачного названия;
5. тестовую и рабочую сборки.

Особенно показательны варианты без дефиса. Они выглядят как автоматическое резервирование ближайшего свободного имени, а не как развитие полноценного бренда.

Повторяющиеся семейства

В качестве первой части названия чаще других используются:

• prestigio — шесть раз;
• essor — четыре;
• thorn — четыре;
• aureo — четыре;
• fortis — четыре;
• eleve — три;
• vasto — три;
• solido — три;
• pulsar — три;
• rapido — три.

Примеры семейства Prestigio:

• prestigio-finvexa.com;
• prestigio-luxenria.com;
• prestigio-flownex.com;
• prestigio-saldohex.com;
• prestigio-saldohex.net;
• prestigio-glowture.pro.

Семейство Aureo:

• aureo-finoble.com;
• aureo-finoble.app;
• aureo-finoble.pro;
• aureo-flowdex.com.

Семейство Fortis:

• fortis-invelix.com;
• fortis-fundrelix.com;
• fortis-gaintra.com;
• fortis-valtrix.com.

Повторяются и вторые части:

• finoble — шесть доменов;
• fundex — пять;
• vaultaris — четыре;
• luxeron — четыре;
• valtrix — четыре;
• finspirex — четыре;
• dexlink — четыре;
• finviora — четыре;
• gainetra — четыре;
• luxerise — четыре;
• dexeris — четыре;
• corevia — четыре.

Это позволяет описать вероятный алгоритм именования: локализованное или статусное слово соединяется с одной из нескольких десятков искусственных финансовых морфем.

Например:

географическое/эмоциональное слово + fundex/finoble/corevia/luxeron + .com

Получается практически неограниченный запас одноразовых «брендов».

Следы тестовой среды

Самая сильная техническая зацепка находится в зоне .best. В реестр попали адреса, которые совершенно не похожи на названия инвестиционных компаний:

• testmodblock.best;
• testmodblock1.best;
• testprod7.best;
• testprod17.best;
• testprodsource82.best;
• testprodsource82-2.best;
• testmetablackstrong6.best;
• testcallstrong724.best;
• testdevspd2.best;
• ggtorfgoontest.best;
• gfyyuuhk-gohnf.best;
• tesww-forts.best.

Слова test, prod, dev, source, block и call обычно относятся к разработке, тестированию и развёртыванию программных продуктов. Особенно интересны пары testmodblock/testmodblock1 и testprodsource82/testprodsource82-2.

Наиболее вероятные объяснения:

• тестовые экземпляры шаблона случайно стали доступны публично;
• домены использовались для приёмки новых сборок;
• через них проверялись формы, телефония или интеграция с колл-центром;
• это промежуточные адреса автоматизированной системы развёртывания лендингов.

Именно эти домены могут оказаться лучшими точками для технической атрибуции. Если архивные копии сохранились, они способны раскрыть пути к JavaScript-сборкам, API, административным панелям и названиям внутренних модулей.

Однако сами слова test и prod не доказывают принадлежность к одному разработчику. Доказательством станет совпадение кода, favicon, сертификатов, DNS или серверных маршрутов с публичными инвестиционными сайтами.

Фабрика осваивает тему ИИ

В отдельную серию входят как минимум 20 доменов, прямо использующих AI, GPT, DeepSeek или Grok:

• deepseekv3trader.com;
• x-tradegrok-73ai.com;
• quantex-gpt-v2-pro.com;
• gpt-v98-app.com;
• nova-fintrix-gpt.com;
• bitwex-v3-gpt.com;
• cumbre-tradebit-gpt.com;
• altaris-invest-ai.com;
• quarivonix-ai.com;
• quantovix-ai.com;
• quarezenix-ai.com;
• forgexon-edge-ai.com;
• futurononyxon-ai.com;
• tracivex-surge-ai.com;
• hexoria-aibot.nl;
• ai-btcaurallonv15.com;
• ai-evitrap.com;
• lucro-ai.com;
• lucro-ai.org;
• phoenix-tradexai.com.

Это не доказательство применения искусственного интеллекта. Напротив, AI и GPT, вероятнее всего, используются как рекламные маркеры: потенциальной жертве предлагают «автоматическую торговлю», «нейросетевой анализ» или доступ к якобы эксклюзивному торговому роботу.

Названия DeepSeek и Grok могут создавать ложное впечатление связи с известными разработчиками. Каких-либо подтверждений такой связи в карточке ЦБ нет.

Что можно считать установленным

Подтверждено:

• Банк России объединил 736 доменов в одной карточке;
• регулятор обнаружил у них признаки нелегального профессионального участника рынка ценных бумаг;
• карточка обновлена 2 сентября 2026 года;
• в перечне присутствуют многочисленные серии с одинаковыми морфемами;
• как минимум 14 основ доменов зарегистрированы сразу в нескольких зонах;
• имеются почти идентичные названия с минимальными изменениями;
• в общий перечень включены явно служебно названные test, dev и prod-домены;
• существует отдельная серия с AI, GPT, DeepSeek и Grok;
• названия системно локализованы под разные языки и страны.

Сильная рабочая гипотеза:

Значительная часть сайтов создавалась одним производственным контуром либо несколькими командами, использующими общий генератор названий, шаблоны и систему автоматического развёртывания.

Пока не установлено:

• кто является конечным оператором фабрики;
• принадлежат ли все 736 доменов одной группе;
• какие сайты обслуживал один колл-центр;
• какие домены были активны одновременно;
• какие аналитические и рекламные идентификаторы повторялись;
• какие IP-адреса и автономные системы использовались;
• совпадают ли favicon и контрольные суммы HTML;
• какие компании, телефоны, кошельки и платёжные реквизиты повторялись;
• какие домены были добавлены именно 2 сентября.

Что показала и чего не показала техническая проверка

Планировалось проверить весь массив по DNS, TLS-сертификатам, HTTP-заголовкам, favicon, HTML-хешам, скриптам и аналитическим идентификаторам. Массовое прямое обращение к 736 потенциально опасным сайтам было остановлено средой безопасности. Это разумное ограничение: среди таких ресурсов могут находиться фишинговые формы, вредоносные сценарии и системы регистрации посетителей.

Поэтому утверждать, что конкретные домены имеют общий IP, favicon, Google Analytics или Яндекс Метрику, сейчас нельзя.

Для завершения технической атрибуции нужна изолированная среда без реальных пользовательских данных, с отключённым JavaScript и доступом к пассивным источникам:

• SecurityTrails, DNSDB или DomainTools — исторические DNS;
• crt.sh и Censys — сертификаты;
• urlscan.io — HTML, DOM, favicon, сетевые запросы и IP;
• VirusTotal — связи доменов, файлов и адресов;
• PublicWWW — общие фрагменты кода и счётчики;
• BuiltWith — технологические профили;
• Wayback Machine — архивные версии и документы;
• FOCA, ExifTool и pdfinfo — метаданные загруженных документов;
• Google Analytics, GTM, Meta Pixel и Яндекс Метрика — повторно используемые идентификаторы.

Особый приоритет следует отдать служебным .best-доменам и 14 группам прямых зеркал. Они с наибольшей вероятностью дадут подтверждаемую связь между отдельными частями массива.

Как искать операторов

Следующий этап расследования должен строиться не вокруг WHOIS: у большинства современных доменов данные владельца закрыты. Более перспективны другие точки.

Документы

В пользовательских соглашениях, политиках конфиденциальности и уведомлениях о рисках следует искать:

• названия юридических лиц;
• регистрационные номера;
• адреса;
• применимое право;
• электронную почту;
• имена директоров;
• ошибки копирования из другого бренда.

Забытое старое название в политике конфиденциальности часто надёжнее текущего логотипа.

Телефония и почта

Повторно используемые телефоны, Telegram-аккаунты и адреса поддержки позволяют связывать сайты даже после смены дизайна. Особенно ценны домены почтовых серверов, заголовки писем и ссылки на формы обратной связи.

Платежи

Наиболее доказательными будут:

• одинаковые криптовалютные адреса;
• общие адреса пополнения;
• совпадающие получатели банковских переводов;
• одни и те же обменники;
• повторяющиеся платёжные комментарии;
• одинаковые инструкции операторов.

Личные кабинеты

Внешний лендинг можно заменить, не меняя основную торговую платформу. Поэтому необходимо фиксировать:

• адрес кабинета;
• API;
• WebSocket-соединения;
• название программного продукта;
• структуру регистрационных запросов;
• домены загрузки графиков и котировок.

Если десятки вывесок ведут в один кабинет или API, это гораздо сильнее простого сходства дизайна.

Предварительная карта кластеров

На основании исключительно открытого перечня можно выделить шесть крупных направлений:

1. Многоязычный генератор инвестиционных названий — основная масса доменов с fund, fin, lux, vex, rend, kapit.
2. Зеркала и резервные зоны — одинаковые основы в .com, .org, .net, .app и .pro.
3. Служебная инфраструктура — серия test, dev, prod, преимущественно в .best.
4. AI-воронки — GPT, DeepSeek, Grok, AI Trader и AI Bot.
5. Криптовалютные лендинги — bit, coin, dex, swap, BTC, wallet.
6. Локализованные национальные витрины — немецкие, испанские, польские, французские, нидерландские, скандинавские и азиатские словари.

Это пока функциональные, а не окончательные технические кластеры. Один оператор мог пользоваться несколькими наборами названий, а один конструктор — продаваться разным колл-центрам.

Главный вывод

Перечень Банка России показывает переход от отдельных лжеброкерских сайтов к массовому производству одноразовых инвестиционных брендов. Названия собираются из готовых языковых и финансовых элементов, регистрируются в нескольких доменных зонах и дополняются модными обозначениями AI и GPT.